Con NIS2 la sicurezza diventa qualcosa da dimostrare.

NIS2 è la seconda direttiva sulla sicurezza delle reti e dei sistemi informativi, la Direttiva (UE) 2022/2555. Fissa una base comune di cybersecurity in tutta l'Unione Europea e sostituisce la direttiva NIS del 2016 con un ambito più ampio, requisiti più stringenti e una responsabilità concreta per l'alta direzione.

L'obiettivo è chiaro: alzare il livello di resilienza cibernetica delle organizzazioni da cui dipende la società. Dove le vecchie regole coprivano una cerchia ristretta di operatori, NIS2 coinvolge interi settori e vincola ogni organizzazione a uno standard documentato di gestione del rischio, notifica degli incidenti e sicurezza della catena di fornitura.

NIS2 riguarda in genere le organizzazioni medie e grandi dei settori designati, con eccezioni per alcuni piccoli fornitori critici. Un fornitore può anche dover rispettare requisiti imposti da un cliente soggetto alla direttiva. Gli obblighi precisi dipendono dalla legge nazionale applicabile all'organizzazione.

La direttiva distingue le organizzazioni in soggetti essenziali (settori come energia, trasporti, banche, sanità, acqua, infrastrutture digitali e pubblica amministrazione) e soggetti importanti (tra cui servizi postali, gestione dei rifiuti, prodotti chimici, alimentare, manifatturiero e fornitori digitali). Entrambi devono rispettare gli stessi obblighi di sicurezza; la differenza sta soprattutto nel rigore della vigilanza.

NIS2 si fonda sulle misure di gestione del rischio dell'Articolo 21, su rigorosi obblighi di notifica degli incidenti e sulla responsabilità della direzione stabilita dall'Articolo 20. In pratica si riduce a cinque cose che devi fare e devi essere in grado di dimostrare.

• Misure di gestione del rischioAdotta misure tecniche e organizzative su reti e sistemi informativi: controllo degli accessi, MFA, cifratura, patching, backup e continuità operativa.
• Notifica degli incidentiNotifica gli incidenti significativi entro tempi rigorosi: un preallarme entro 24 ore, una notifica più completa entro 72 ore e una relazione finale entro un mese.
• Sicurezza della catena di fornituraValuta e gestisci il rischio cibernetico dei tuoi fornitori e prestatori di servizi, perché un attaccante che entra tramite un fornitore resta comunque un incidente che devi notificare.
• Responsabilità della direzioneL'alta direzione deve approvare e supervisionare le misure di rischio e può essere ritenuta personalmente responsabile. La cybersecurity diventa una responsabilità del vertice aziendale, non solo un compito dell'IT.
• Conformità continuaMantieni le prove sempre aggiornate. Le autorità di vigilanza possono chiederle in qualsiasi momento, quindi postura, policy e registri degli incidenti devono essere pronti su richiesta, non ricostruiti dopo la domanda.

NIS2 è entrata in vigore nel gennaio 2023. Gli Stati membri dovevano recepirla nel diritto nazionale entro il 17 ottobre 2024. Attuazione e applicazione variano tra paesi: verifica la legge e l'autorità competente nel tuo.

Le sanzioni sono rilevanti. I soggetti essenziali rischiano multe fino a 10 milioni di euro o al 2 percento del fatturato annuo globale, a seconda di quale sia il valore più alto; i soggetti importanti fino a 7 milioni di euro o all'1,4 percento. Oltre alle multe, le autorità possono ritenere la direzione personalmente responsabile, ed è per questo che NIS2 è passata da tema dell'IT a tema del vertice aziendale. Per le organizzazioni del settore finanziario, NIS2 si affianca a DORA e ai suoi specifici requisiti di resilienza operativa.